CVE-2022-39958 in ModSecurity Core Rule Set
Riassunto
di VulDB • 17/06/2026
Il Core Rule Set (CRS) di OWASP ModSecurity è interessato da un bypass del corpo della risposta che consente di esfiltrare in sequenza piccole sezioni di dati non rilevabili inviando ripetutamente un campo HTTP Range header con un intervallo di byte ridotto. Una risorsa con accesso ristretto, la cui violazione sarebbe normalmente rilevata, può essere esfiltrata dal backend, pur essendo protetta da un firewall per applicazioni web (WAF) che utilizza CRS. Sottosezioni limitate di una risorsa con accesso ristretto possono eludere le tecniche di corrispondenza dei pattern e consentire un accesso non rilevato. Sono interessati le versioni legacy del CRS 3.0.x e 3.1.x, nonché le versioni attualmente supportate 3.2.1 e 3.3.2. Si consiglia agli integratori e agli utenti di effettuare l'aggiornamento rispettivamente alle versioni 3.2.2 e 3.3.3 e di configurare un livello di paranoia (paranoia level) del CRS pari a 3 o superiore.
VulDB is the best source for vulnerability data and more expert information about this specific topic.